レンタルサーバーの「ロリポップ！」（GMOペパボ）は、PHPの重大な脆弱性（CVE-2026-109618、CVE-2026-109619）への対応として、一部のサーバーで運営されているお客様のサイトを一時的に止めていましたが、10月22日13時11分にサイトを再開しました。日本時間10月22日3時5分の公式Xの投稿で、修正版の適用が終わるまでの間にも攻撃を受けるおそれがあるため、お客様のサイトとデータを守ることを優先したと説明しています。8時55分の投稿では、PHPの更新を順に進めており、全サーバーへの適用の完了と再開は昼ごろの予定としていました。13時11分の公式Xで、修正版を当てたうえでサイトを再開したと発表しています（続報）。
この記事の要点
- 10月22日13時11分：ロリポップ！は、止めていたお客様のサイトについて、修正版を当てたうえで再開しました。公式の修正版がない古いPHPにも独自の修正を当てており、サービスサイトも一部を除きまもなく再開する予定としています（続報）。
- 12時5分の発表では、PHPの脆弱性の修正を行い、お客様のサイトはあと1時間ほどで再開する予定としていました（続報）。
- ロリポップ！は、PHPの重大な脆弱性の修正版を当て終わるまでの間にも攻撃を受けるおそれがあるとして、一部のサーバーのお客様のサイトを一時的に止めました（10月22日3時5分の公式X）。
- 10月21日夜からは、サービスサイト、ユーザー専用ページ、ロリポップ！FTP、旧WEBメーラー、おさいぽ！の自動更新、MCP・APIも止めています。
- 8時55分の公式Xでは、PHPの更新を順に進めていて、全サーバーへの適用の完了と再開は昼ごろの予定としています。10時50分の時点で、再開の発表はまだありません。
- どのサーバーのサイトを止めたのか、何件のサイトが対象なのかは公表されていません。
- ロリポップ！を使っている人は、自分のサイトが正しく表示されるか、問い合わせフォームや管理画面が動くかを確かめ、PHPのバージョンも確かめてください。ユーザー専用ページやFTPなどが使えるようになったかは、公式X（@lolipopjp）で確かめましょう。
何が起きたか
| 項目 | 内容 |
|---|---|
| サービス | ロリポップ！レンタルサーバー（GMOペパボ）。同じお知らせで、ロリポップ！AIホームページ、ロリポップ！デプロイナウ、ロリポップ！AIエージェントクラウドもメンテナンス中 |
| 止めたもの | 一部のサーバーで運営されているお客様のサイト（22日3時5分から）。ほかに、サービスサイト、ユーザー専用ページ、ロリポップ！FTP、旧ロリポップ！WEBメーラー、おさいぽ！の自動更新、MCP・API |
| 理由 | PHPの重大な脆弱性への予防措置。サイトについては、修正版の適用が終わるまでの間にも攻撃を受けるおそれがあるため |
| 対象のサーバー | 「一部サーバー」とだけ発表しており、どのサーバーかは公表されていない |
| 今後の予定 | 全サーバーへのPHPの更新の完了と再開は、昼ごろの予定（22日8時55分の公式X） |
| お知らせの場所 | ロリポップ！のサイト（緊急メンテナンス中の案内）と公式X（@lolipopjp）。サイトでは、復旧の状況などの最新情報は公式Xでも知らせるとしている |
もとになったのは、PHPが10月21日夜（日本時間）に修正版を公開した2件の脆弱性です。どちらも認証なしで外からコードを実行されるおそれがあり、深刻度を表すCVSS v4.0のスコアは9.2です。PHPは公式のアドバイザリで、すべての利用者にすぐ更新するよう強く呼びかけています。脆弱性の詳しい内容は、PHPの脆弱性の記事にまとめています。
これまでの経緯
| 日時（日本時間） | できごと |
|---|---|
| 10月21日（水） | 緊急メンテナンスを始める（お知らせの掲載時点から順に）。サイトでは、PHPの修正版の公開（21日23時の予定）に先立つ予防措置と説明 |
| 21日21時43分 | 公式Xで、サービスサイト、ユーザー専用ページ、おさいぽ！の自動更新、MCP・APIを順に止めていると発表 |
| 21日22時3分 | 公式Xで、ロリポップ！FTPと旧Webメーラーもすでに止めていると発表 |
| 21日23時ごろ | PHPが修正版の8.5.12、8.4.27、8.3.36、8.2.35を公開 |
| 22日3時5分 | 公式Xで、一部のサーバーで運営されているサイトを一時的に止めると発表 |
| 22日8時55分 | 公式Xで、PHPの更新を順に進めており、全サーバーへの適用の完了と再開は昼ごろの予定と発表（投稿の中の日付は「2026/10/26 8:55時点」となっていたが、9時33分の投稿で「2026/10/22」の誤りと訂正） |
| 22日12時5分 | 公式Xで、PHPの脆弱性の修正を行い、お客様のサイトはあと1時間ほどで再開する予定と発表 |
| 22日13時11分 | 公式Xで、止めていたお客様のサイトを修正版の適用のうえ再開したと発表。サービスサイトも一部を除きまもなく再開する予定 |
止まっているもの、使えるもの
ロリポップ！のサイトに出ている緊急メンテナンスの案内では、サービスごとに次のように分けています（10月22日10時50分時点）。
| サービス | 現在使えないもの | 引き続き使えるもの |
|---|---|---|
| ロリポップ！レンタルサーバー | お客様のサイト、サービスサイト、ユーザー専用ページ、ロリポップ！FTP、旧ロリポップ！WEBメーラー、おさいぽ！の自動更新、MCP・API | — |
| ロリポップ！AIホームページ | サービスサイト、ユーザー専用ページでの契約の管理とユーザー設定の変更 | メンテナンスの前からログインしたままなら、サイトの編集を続けられる（新たにはログインできず、ログアウトすると終わるまで編集できない） |
| ロリポップ！デプロイナウ | 新規登録、プランのアップグレード、支払い方法の確認・変更など | 公開中のサイト・Webアプリの表示、ログイン、デプロイ |
| ロリポップ！AIエージェントクラウド | 新規登録、サーバー（契約）の追加、解約・停止の手続きなど | 稼働中のAIエージェント、管理画面へのログイン |
レンタルサーバーの「お客様のサイト」が使えないものに挙がっていますが、公式Xでは、止めたのは「一部サーバーで運営されているサイト」と説明しています。
ほかのサーバー会社との違い
今回のPHPの脆弱性に合わせて、国内の多くのレンタルサーバーがメンテナンスをしています（各社のメンテナンス一覧）。エックスサーバーは管理画面や公式サイトなどを止めましたが、Webサイトの表示はふだんどおりとしていました。さくらのレンタルサーバやCORESERVER、カラフルボックスなどは、作業にともなってサーバーが数分〜30分ほどつながりにくくなることがあるとしていました。
これに対してロリポップ！は、修正版を当て終わるまでの間に攻撃を受けるおそれがあることを理由に、一部のサーバーのお客様のサイトそのものを止めました。作業のための短い中断ではなく、サイトとデータを守るために、サイトの公開をいったん止めるという判断です。また、メンテナンスの理由としてPHPの脆弱性をはっきり書いている点も、理由を「システムの保守作業」などとしている会社が多いなかで目立ちます。
公式Xの反応
サイトを止めると発表した3時5分の投稿は、10月22日10時50分時点で表示が約10.6万回、いいねが333件、引用が104件、リポストが169件ありました。メンテナンスの開始を知らせた21日21時43分の投稿は表示が約13.2万回、昼ごろの再開予定を知らせた8時55分の投稿は表示が約2.2万回です。
利用者がすること
| 時期 | すること |
|---|---|
| 今 | 自分のサイトがふだんどおり表示されるかを確かめる。止まっている場合も、ユーザー専用ページには今はログインできないため、ロリポップ！のサイトの案内と公式X（@lolipopjp）で状況を確かめる |
| 今 | ロリポップ！AIホームページで、メンテナンスの前からログインしたまま編集している場合は、ログアウトしない（ログアウトすると、メンテナンスが終わるまで編集できなくなる） |
| 今 | FTPやユーザー専用ページを使う作業（ファイルのアップロードや設定の変更など）は、再開を待ってから行う |
| 再開したあと | サイトが正しく表示されるか、問い合わせフォームや管理画面が動くかを確かめる |
| 再開したあと | WordPressなら、管理画面の「ツール」→「サイトヘルス」→「情報」→「サーバー」でPHPのバージョンを確かめる。修正版は8.5.12、8.4.27、8.3.36、8.2.35。サーバー会社が修正を独自に取り込んだ場合は番号が変わらないこともあるため、ロリポップ！のお知らせで対応が終わったかもあわせて確かめる |
確かなこと、まだわからないこと
| 内容 | |
|---|---|
| 確か（公式の発表） | PHPの脆弱性への予防措置として、21日夜からサービスサイトやユーザー専用ページなどを止めている。22日3時5分から、一部のサーバーのお客様のサイトを一時的に止めている。PHPの更新を順に進めている |
| 再開 | 止めていたお客様のサイトは、22日13時11分に再開した（13時11分の公式X）。サービスサイトは一部を除きまもなく再開する予定 |
| わからない | どのサーバーのサイトを止めたのか、何件のサイトが対象なのか。ユーザー専用ページやFTPなどがいつ再開するか |
続報：あと1時間ほどでサイトを再開予定（10月22日12時5分の発表）
ロリポップ！は10月22日（木）12時5分、公式Xで「メンテナンス状況のお知らせ」を投稿しました。PHPの重大な脆弱性について修正を行い、お客様のサイトは、あと1時間ほどで再開する予定としています。また、公式の修正版が出ていない古いバージョンのPHPにも、同社独自の修正を当てているとしています。
12時50分の時点で、サイトの再開の発表はまだ出ていません。ロリポップ！のサイトの緊急メンテナンスの案内も、お客様のサイトやユーザー専用ページなどを「現在利用できません」としたままです。再開したかどうかは、公式X（@lolipopjp）で確かめてください。
続報：止めていたサイトを13時11分に再開
ロリポップ！は10月22日（木）13時11分、公式Xで、停止していたお客様のサイトについて、修正版の適用を行い、13時11分に再開したと発表しました。公式の修正版がない古いバージョンのPHPにも、同社独自の修正を当てているとしています。また、サービスサイトも、一部を除いてまもなく再開する予定としています。
13時20分の時点で、ロリポップ！のサイトはまだ緊急メンテナンスの案内のままで、ユーザー専用ページやロリポップ！FTPなどの再開の発表は出ていません。サイトを運営している人は、自分のサイトが正しく表示されるか、問い合わせフォームや管理画面が動くかを確かめ、PHPのバージョンも確かめてください。
関連記事
出典
- ロリポップ！「緊急メンテナンス中」（2026年10月21日〜、10月22日10時50分確認）
- ロリポップ！公式X（@lolipopjp）「【重要】メンテナンスのお知らせ」（2026年10月21日21時43分）
- ロリポップ！公式X（@lolipopjp）（ロリポップ！FTP・旧Webメーラーの停止、2026年10月21日22時3分）
- ロリポップ！公式X（@lolipopjp）「【メンテナンス状況のお知らせ】」（2026年10月22日3時5分）
- ロリポップ！公式X（@lolipopjp）「【メンテナンス状況のお知らせ】」（2026年10月22日8時55分）
- ロリポップ！公式X（@lolipopjp）（日付の訂正、2026年10月22日9時33分）
- php.net「PHP Security Advisory」（2026年10月21日）
- ロリポップ！公式X（@lolipopjp）「【メンテナンス状況のお知らせ】」（2026年10月22日12時5分）
- ロリポップ！公式X（@lolipopjp）（お客様のサイトの再開、2026年10月22日13時11分）
